La plupart des programmes de sécurité des terminaux « » n'échouent pas parce que les entreprises manquent d'outils. Elles échouent car il n'existe aucun cadre permettant de déterminer les priorités, de définir les responsabilités de chacun et de démontrer que la stratégie porte ses fruits.
Lorsque les terminaux couvrent à la fois des appareils gérés, des systèmes OT non gérés et des charges de travail dans le cloud, la fragmentation des responsabilités transforme chaque incident en un problème de coordination. Cet article explique comment hiérarchiser les fonctionnalités de sécurité des terminaux, définir un partage des responsabilités entre les équipes, mesurer les résultats pertinents et faire évoluer la stratégie à mesure que les environnements changent.
Pourquoi les programmes de sécurité des terminaux échouent avant même d'avoir été mis en place
Une stratégie de sécurité des terminaux est un plan structuré qui définit la manière dont une organisation sélectionne et déploie des solutions de sécurité des terminaux afin de protéger, de surveiller et de gérer tous les appareils se connectant à son réseau.
Ce plan comprend généralement des politiques relatives à l'accès aux appareils, à la détection des menaces, à la gestion des vulnérabilités et à la réponse aux incidents liés à la sécurité de l' . L'objectif est de réduire les risques liés aux ordinateurs portables, aux serveurs, aux appareils mobiles, aux charges de travail dans le cloud et aux systèmes de technologie opérationnelle (OT).
La tendance est constante : les investissements dans les outils d' s devancent la mise en place des cadres organisationnels nécessaires à leur efficacité.
Trois types de défaillances reviennent régulièrement dans les grandes entreprises :
- Fragmentation de la responsabilité des outils : Le service informatique se charge de la gestion des correctifs et de la configuration. Le service de sécurité assure la détection et la réaction.
- Absence de logique de hiérarchisation : Les fonctionnalités sont mises en œuvre sans justification claire permettant de déterminer celles qui doivent être développées en priorité.
- Absence de cadre de mesure : Des investissements sont réalisés, mais personne ne peut démontrer que cette stratégie réduit le risque.
Au sein d’un parc informatique de cette envergure (appareils Windows gérés, systèmes OT non gérés, charges de travail dans le cloud), toute lacune en matière de visibilité ou de responsabilité devient un point d’entrée potentiel, que ce soit par le biais d’hameçonnage, de vulnérabilités non corrigées ou de systèmes mal configurés que les attaquants peuvent exploiter avant que les équipes ne détectent l’activité. Une seule attaque par hameçonnage réussie peut permettre à un adversaire de prendre pied sur un terminal non surveillé. À partir de là, il devient nettement plus facile de se déplacer latéralement dans tout l'environnement.
La suite de cet article aborde directement chacun de ces modes de défaillance, en commençant par le défi lié à la conception organisationnelle qui sape la plupart des programmes avant même qu'ils ne parviennent à prendre leur essor.
Le problème de conception organisationnelle
La sécurité des terminaux est fragmentée lorsque les équipes informatiques et de sécurité travaillent de manière indépendante. Le service informatique est chargé de la mise à jour des correctifs, du déploiement des logiciels et de la configuration. Le service de sécurité est chargé de la détection des menaces ( ), de la gestion des incidents ( ) et de la réponse aux incidents.
Chaque équipe utilise des outils différents, a accès à des données différentes et rend compte à des responsables différents. Dans les organisations dotées d'un centre d'opérations de sécurité (SOC) dédié, cette fragmentation est aggravée lorsque les analystes du SOC ne disposent pas d'une visibilité suffisante sur les données relatives aux opérations informatiques. Ils ne peuvent pas déterminer si un terminal signalé a fait l'objet d'un correctif ou d'une reconfiguration.
Ce qui s'ensuit est prévisible : des retards dans la prise en charge lors des incidents. Des désaccords quant à savoir si un système a été mis à jour. Des priorités concurrentes qui ralentissent la remise en état.
Pour remédier à la fragmentation, il faut des changements structurels, et pas seulement de la bonne volonté. Les arguments en faveur d’ , qui vise à unifier l’informatique et la sécurité , sont largement étayés. La responsabilité conjointe des indicateurs communs implique que les deux équipes soient responsables des taux de couverture des correctifs, des scores de conformité des terminaux et du délai moyen de correction.
Lorsqu'un indicateur ne répond pas aux attentes, les deux équipes mènent une enquête conjointe.
Les tableaux de bord partagés, qui s'appuient sur une vue centralisée des données des terminaux, permettent d'éliminer les rapports contradictoires. Si le service informatique constate un état de mise à jour et que le service de sécurité en constate un autre, la confiance s'érode. Une source unique de vérité élimine ces frictions.
Il est également important de définir des procédures d'escalade pour les conflits prioritaires. Lorsque le service de sécurité souhaite qu'un correctif d'urgence soit déployé immédiatement et que le service informatique a besoin d'une fenêtre de mise en œuvre pour éviter de perturber la production, un processus d'escalade convenu au préalable permet d'éviter que ce blocage ne retarde l'intervention.
La question relative à la structure organisationnelle n'est pas « comment faire pour que les services informatiques et de sécurité collaborent davantage ? » La question est la suivante : « Quels sont le modèle de propriété, l'architecture des données et le processus d'escalade qui font de la collaboration la norme ? » Une fois cette structure mise en place, le choix de l'ordre des étapes devient la prochaine décision stratégique.
Un cadre de séquençage des capacités
Toutes les fonctionnalités de sécurité des terminaux n'apportent pas la même valeur ajoutée à chaque étape de la maturité du programme. Les mettre en place dans le mauvais ordre entraîne des lacunes qui compromettent les investissements ultérieurs. Le schéma de séquencement ci-dessous repose sur une logique de dépendance, selon laquelle chaque capacité dépend de celle qui la précède.
Cadre de séquencement des capacités
Vous ne pouvez pas corriger, surveiller ou protéger ce que vous ne voyez pas. La découverte des actifs permet d'identifier tous les terminaux connectés à votre environnement, y compris les appareils gérés, les systèmes non gérés et l'informatique fantôme.
À l'échelle de l'entreprise, l'inventaire des actifs implique un inventaire continu, et non des analyses périodiques. Elle englobe les appareils OT et les appareils IoT (des capteurs installés dans les ateliers aux systèmes de gestion des bâtiments intelligents), ainsi que les smartphones, les conteneurs et les charges de travail éphémères dans le cloud, que les outils traditionnels ont souvent du mal à détecter.
Cela est particulièrement vrai dans les environnements de type « apportez votre propre appareil » (BYOD), où les appareils personnels peuvent ne jamais apparaître dans un système traditionnel de gestion des actifs.
- Appareils gérés
- Systèmes OT / IoT
- Charges de travail dans le cloud
- BYOD
- Conteneurs
Pourquoi le séquençage est-il important : Les taux de couverture des correctifs perdent tout leur sens si 15 % des terminaux ne sont pas répertoriés. Les capacités en aval reposent sur cette base : sans un inventaire complet des actifs d' , elles finissent par fonctionner à partir de données incomplètes.
Chaque étape s'appuie sur la précédente. Le déploiement des capacités hors séquence crée des lacunes qui compromettent tout ce qui suit. C'est le choix de l'ordre qui détermine si ces investissements se renforcent mutuellement ou s'ils se neutralisent.
Une fois les capacités mises en place, le prochain défi consiste à s'assurer que les équipes informatiques et de sécurité s'appuient sur les mêmes données.
Mettre en place une responsabilité partagée et une source unique d'informations fiables
Le modèle organisationnel décrit précédemment ne fonctionne que si les deux équipes s'appuient sur les mêmes données. « Est-ce qu'il a été corrigé ? » Cela devrait être un fait, et non un sujet de débat. Une « source unique de vérité » désigne une couche de données de point de terminaison unique que les deux équipes interrogent.
Dans l'idéal, une console de gestion centralisée offre aux équipes informatiques et de sécurité une vue unifiée de l'état des terminaux, de la conformité aux politiques et des alertes actives, sans qu'il soit nécessaire de passer d'une console à l'autre. La visibilité en temps réel sur l'état des terminaux élimine le décalage entre « nous avons déployé le correctif » et « nous avons vérifié qu'il était bien installé ».
Concrètement, la gestion partagée consiste à ce que les services informatiques et de sécurité aient accès aux mêmes données sur l'état actuel de chaque terminal. L'application automatisée des correctifs, le respect des configurations et l'acheminement des alertes s'effectuent conformément aux règles convenues par les deux équipes. Les actions de correction des vulnérabilités sont traçables, ce qui permet aux deux équipes de vérifier ce qui s'est passé et à quel moment.
Le partage des données permet un partage des responsabilités. Mais la responsabilité passe par la mesure.
Évaluer si votre stratégie porte réellement ses fruits
Le déploiement de capacités n'équivaut pas à une réduction des risques. Les fuites de données, les sanctions réglementaires et les perturbations opérationnelles sont les conséquences que les conseils d'administration et les dirigeants s'efforcent d'éviter. Les indicateurs permettent de faire le lien entre votre travail technique et ces enjeux stratégiques.
Le pourcentage de déploiement des agents constitue l'indicateur de référence. Si ce chiffre n'est pas supérieur à 95 %, tous les autres indicateurs s'appuient sur des données incomplètes. Vous ne pouvez pas évaluer le taux de couverture des correctifs sur les terminaux que vous ne pouvez pas voir.
La traduction des indicateurs techniques en termes de réduction des risques facilite la communication à la direction. Dans un rapport du conseil d'administration, l'expression « taux de couverture des correctifs » est remplacée par « pourcentage de vulnérabilités connues corrigées dans le respect du SLA ». «Le temps moyen de réparation (MTTR)" devient le « temps moyen nécessaire pour maîtriser les menaces confirmées ». »
Les indicateurs montrent que cette stratégie est efficace. Elles prennent également en charge les rapports de conformité, ce qui constitue le lien entre la sécurité des terminaux et les exigences réglementaires.
Lier le niveau de sécurité des terminaux à la conformité
Les cadres de conformité ne posent pas la question suivante : « Disposez-vous d'outils de sécurité des terminaux ? » Ils demandent : « Pouvez-vous démontrer que des contrôles spécifiques sont en place et fonctionnent efficacement ? »
La mise en correspondance des capacités de sécurité des terminaux avec les contrôles du référentiel simplifie la préparation des audits et l'établissement des rapports destinés à la direction. Les cadres de cybersécurité : un guide simplifié de la conformité explique comment les mesures de contrôle s'alignent sur les normes courantes. La gestion des correctifs correspond directement au contrôle CIS 7 (Gestion continue des vulnérabilités) des contrôles CIS v8, et un programme de gestion des correctifs bien établi, présentant des taux de couverture mesurables, satisfait à ce contrôle.
Les auditeurs attendent de vous les journaux de déploiement des correctifs, les pourcentages de couverture par niveau de gravité et les exceptions documentées.
La surveillance continue des points de terminaison correspond à la fonction « Détection » (DE.CM) du cadre de cybersécurité du NIST (CSF). La télémétrie en temps réel des terminaux s'inscrit dans la catégorie « Surveillance continue ».
Le terme « continu » désigne une surveillance en temps réel de l'état des terminaux, et non des analyses périodiques qui laissent des lacunes entre les fenêtres de collecte. Les auditeurs font la distinction entre les outils qui fournissent des instantanés à un moment donné et les plateformes qui fournissent des données en temps réel.
Les conseils d'administration se soucient de la réduction des risques, et non des stocks d'outils. Exprimez les indicateurs en termes commerciaux : « Ce trimestre, nous avons corrigé 94 % des vulnérabilités critiques dans le respect de notre SLA de 72 heures. » Ou : « Le temps moyen nécessaire pour maîtriser les menaces confirmées est passé de 18 heures à 6 heures. »
C'est dans l'écart entre les « outils mis en place » et une « stratégie efficace » que se produisent les manquements à la conformité et que les cyberattaques trouvent un terrain propice. La mesure comble cet écart en fournissant aux équipes les éléments dont elles ont besoin pour démontrer que les contrôles sont efficaces, et non pas simplement mis en place. Les exigences en matière de conformité évoluent, tout comme les environnements. La dernière étape consiste à mettre en place une stratégie capable de s'adapter.
Comment faire évoluer votre stratégie à mesure que votre environnement change
Une stratégie de sécurité des terminaux n'est pas un projet ponctuel. Les environnements évoluent. Les cybermenaces gagnent en sophistication et en rapidité. Les exigences réglementaires évoluent. La stratégie doit suivre le rythme.
Il est judicieux de procéder à des révisions stratégiques au moins une fois par an. Réalisez-les également à la suite d'incidents majeurs, de changements environnementaux importants ou de nouvelles exigences réglementaires. Les pratiques de gestion de la sécurité des terminaux peuvent vous aider à déterminer les éléments à examiner à chaque étape.
Les enseignements tirés de la gestion des incidents peuvent permettre de réajuster les priorités en matière de capacités, au-delà de la simple mise à jour des guides d'intervention. Si un incident révélait qu'une catégorie d'appareils n'avait pas été prise en compte dans l'inventaire des actifs, il s'agirait d'une lacune au niveau de la séquence, et non pas simplement d'une lacune au niveau du processus.
À mesure que le programme se développe, le chevauchement des outils engendre une complexité qui n'apporte pas une valeur proportionnelle. Évaluez la possibilité d'une consolidation lorsque plusieurs outils fournissent des données de télémétrie similaires sans être intégrés. Pensez également à regrouper les équipes lorsque celles-ci passent plus de temps à passer d'une console à l'autre qu'à mener leurs enquêtes.
Les indicateurs de la phase initiale portent principalement sur la couverture (pourcentage de déploiement des agents, taux de couverture des correctifs). Les programmes bien établis permettent de suivre des indicateurs d'efficacité et de rapidité tels que le temps moyen de détection (MTTD) , le temps moyen de résolution (MTTR), ainsi que l'évolution de la durée d'exposition aux vulnérabilités. Réorientez vos efforts de mesure à mesure que vos capacités se développent.
L'évolution de la stratégie est un processus de gouvernance doté de responsables et d'un rythme bien définis ; il ne s'agit pas d'une simple aspiration. Prévoyez des révisions. Définissez les responsabilités. Consignez les décisions par écrit.
Comment Tanium soutient une stratégie de sécurité des terminaux fondée sur des informations en temps réel
Une stratégie de ce type repose sur la conjonction de plusieurs facteurs favorables. Les équipes ont besoin d'une visibilité précise et actualisée sur ce qui s'exécute à grande échelle dans leur environnement. Les équipes chargées de l'exploitation et de la sécurité informatiques doivent s'appuyer sur les mêmes données, plutôt que de devoir recouper les résultats fournis par des outils distincts.
Les indicateurs qui démontrent l'efficacité de la stratégie nécessitent une source de données reflétant l'état réel des terminaux. Il s'agit notamment du taux de couverture des correctifs, du MTTD et du délai moyen de réponse. Ils ne devraient pas se fier aux données issues de la dernière analyse programmée.
La plateforme informatique autonome Tanium d’ , , répond à ces besoins grâce à une plateforme unique et unifiée couvrant la gestion des terminaux (), la gestion des risques (Exposure Management) et les opérations de sécurité (Security Operations). Il permet l'identification et l'inventaire des ressources en temps réel, offrant ainsi aux équipes une vue d'ensemble actualisée de ce qui existe, de ce qui est en service et de leur état. Les équipes d'exploitation informatique et de sécurité partageant la même plateforme et les mêmes données, elles évitent ainsi les retards liés aux transferts de tâches et les informations contradictoires.
Trois fonctionnalités clés de Tanium contribuent directement à cet objectif :
- La visibilité en temps réel comme point de départ : L'architecture en chaîne linéaire de Tanium interroge les terminaux en quelques secondes (pas d'échantillonnage, pas d'analyses obsolètes), ce qui permet aux équipes d'évaluer l'état des actifs à l'aide de données en temps réel.
- Une plateforme commune pour les équipes chargées des opérations informatiques et de la sécurité : Une plateforme unique réduit la fragmentation et accélère les interventions en permettant aux équipes de travailler à partir des mêmes données.
- Des données en continu pour des mesures pertinentes : Les informations en temps réel sur les terminaux permettent d'obtenir des indicateurs précis, sans délai d'analyse.
Et cela se traduit directement par des répercussions opérationnelles. de Best Buy, par exemple, gère environ 120 000 terminaux à l'aide de Tanium en complément de Microsoft, et fait état d'une réduction de près de 20 % du délai moyen de résolution des incidents actifs.
À mesure que les environnements des terminaux se dispersent davantage, les fondements de toute stratégie efficace restent les mêmes : des données à jour et un contexte partagé. C'est grâce à ces fondements que la sécurité continue des terminaux d' , , passe du stade de l'aspiration à celui de la réalité opérationnelle. C'est le fait de pouvoir exploiter ces données sans avoir à changer de console ni à attendre les résultats des analyses qui rend cela possible.
Foire aux questions sur la mise en place d'une stratégie efficace de sécurité des terminaux
Les questions ci-dessous portent sur les choix courants auxquels sont confrontées les organisations lorsqu'elles passent de la phase de planification à celle de mise en œuvre. Ils mettent l'accent sur l'ordre des étapes, le choix des outils et la clarification de la terminologie, qui fait souvent l'objet de confusions dans les communications marketing des fournisseurs.
Quelles sont les trois étapes principales de la sécurité des terminaux ?
Les trois étapes fondamentales sont l'identification et l'inventaire des actifs, la gestion des vulnérabilités et des correctifs, ainsi que l'application des règles de configuration.
Quelle est l'une des techniques de sécurité des terminaux les plus couramment utilisées ?
La détection et la réponse au niveau des terminaux (EDR) surveillent l'activité des terminaux en temps réel afin d'identifier les comportements suspects et de faciliter les enquêtes. Ce système fonctionne de manière optimale lorsqu'il s'appuie sur une visibilité totale des actifs et sur une réduction de la surface d'attaque grâce à l'application de correctifs.
Quelle est la différence entre l'EDR et l'XDR ?
L'EDR surveille l'activité des terminaux afin de détecter les menaces et d'y répondre. Les plateformes de détection et de réponse étendues (XDR) intègrent les données de télémétrie provenant des terminaux, des réseaux et des charges de travail dans le cloud afin d'assurer une corrélation plus large des menaces.
Comment choisir un outil EDR ?
Le choix de l'outil dépend du fait que votre organisation ait ou non déjà établi un inventaire complet de ses actifs et assuré une couverture complète des correctifs. L'EDR est d'autant plus efficace qu'il s'appuie sur une visibilité précise et une surface d'attaque réduite ; il ne doit pas se substituer aux bonnes pratiques élémentaires en matière de sécurité.
Mettre en place une stratégie de sécurité des terminaux efficace à l'échelle de l'entreprise ne se limite pas au simple déploiement de technologies. Cela nécessite de savoir établir des priorités, de mettre en place une responsabilité partagée entre les services informatiques et la sécurité, de mesurer les résultats et d’adapter la stratégie à mesure que les conditions évoluent.
Les organisations qui y parviennent fonctionnent avec davantage d’assurance. Ils peuvent démontrer que leur stratégie réduit les risques, et ne se contente pas de grignoter le budget.
Prenez rendez-vous pour une démonstration afin de découvrir comment la visibilité et le contrôle en temps réel des terminaux offerts par Tanium soutiennent votre stratégie de sécurité des terminaux à grande échelle.
